CVE-2026-57572

Crawl4AI przed wersją 0.8.7 zawiera podatność umożliwiającą dowolny zapis plików w endpointach /screenshot i /pdf serwera API Docker. Parametr output_path akceptuje dowolne ścieżki systemowe bez walidacji, co pozwala atakującemu na nadpisanie plików serwera i spowodowanie odmowy usługi.

W bibliotece Crawl4AI przed wersją 0.9.0 wykryto podatność na zapis dowolnego pliku. Atakujący może wpłynąć na nazwę pliku docelowego poprzez nagłówek Content-Disposition lub sugerowaną nazwę pliku, co umożliwia zapis pliku poza katalogiem docelowym. Może to prowadzić do zdalnego wykonania kodu.

Crawl4AI przed wersją 0.8.7 zawiera podatność w funkcji _safe_eval_expression() w mechanizmie computed fields. Walidator AST blokuje tylko atrybuty zaczynające się od podkreślenia, ale atrybuty obiektów generatora i ramki (gi_frame, f_back, f_builtins) nie zaczynają się od podkreślenia, co umożliwia całkowitą ucieczkę z sandboksa i wykonanie dowolnego kodu. Atak nie wymaga uwierzytelnienia (JWT domyślnie wyłączone) i jest wyzwalany przez POST /crawl z spreparowanym schematem ekstrakcji.

Crawl4AI w wersjach przed 0.8.0 zawiera podatność zdalnego wykonania kodu w API Docker. Punkt końcowy /crawl akceptuje parametr hooks zawierający kod Python, który jest wykonywany za pomocą exec(). Dozwolone wbudowane funkcje obejmowały __import__, co pozwala nieuwierzytelnionym atakującym na importowanie dowolnych modułów i wykonywanie poleceń systemowych.

Crawl4AI w wersjach od 0.7.0 przed 0.9.5 zawiera podatność na nadmierną złożoność wyrażeń regularnych w serwerze API Dockera, pozwalającą uwierzytelnionym klientom API na przesyłanie nieograniczonych wyrażeń regularnych w treści żądań /crawl. Atakujący mogą przesyłać wzorce powodujące katastrofalne cofanie poprzez RegexExtractionStrategy.custom, RegexChunking.patterns lub pola schematów JsonCss, JsonXPath i JsonLxml przeciwko spreparowanej stronie, aby zamrozić cały serwer, w tym /health.

Crawl4AI w wersjach od 0.8.7 do 0.9.5 zawiera lukę SSRF w serwerze API Dockera, umożliwiającą nieuwierzytelnionym atakującym obejście kontroli miejsca docelowego poprzez różnice w parsowaniu userinfo w URL. Atakujący mogą ustawić fetch_ssl_certificate=true ze spreparowanymi adresami URL, aby połączyć się z wewnętrznymi hostami na porcie 443 i ujawnić szczegóły certyfikatów.

Crawl4AI przed 0.9.4 zawiera podatność ślepego fałszerstwa żądań po stronie serwera w RobotsParser.can_fetch, która pozwala nieuwierzytelnionym atakującym ominąć kontrolę egress Docker. Atakujący mogą włączyć check_robots_txt i użyć przekierowań lub rebindingu DNS, aby dotrzeć do wewnętrznych, pętli zwrotnej lub adresów metadanych chmury w celu wykrywania usług.

Crawl4AI w wersjach od 0.7.0 do 0.9.4 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która pozwala klientom API na dostęp do wewnętrznych adresów poprzez włączenie link_preview_config w żądaniach /crawl. Atakujący mogą dostarczyć kontrolowaną stronę z ustawionymi include_external i include_patterns, co powoduje, że AsyncUrlSeeder pobiera wewnętrzne, prywatne i cloud-metadata linki i zwraca ich sparsowane dane nagłówka.

Crawl4AI w wersjach od 0.9.0 do 0.9.4 zawiera podatność na obejście bramki niezaufanej konfiguracji, która pozwala nieadministracyjnym klientom API na konstruowanie zabronionych obiektów konfiguracji poprzez opakowanie ich w typy dyktujące. Atakujący mogą wysłać wyprany LLMConfig z api_token ustawionym na referencję środowiskową przez /config/dump, aby odczytać SECRET_KEY i klucze dostawców, umożliwiając fałszowanie JWT administratora.

crawl4ai w wersjach przed 0.9.3 zawiera podatność na DOM-based cross-site scripting w interfejsie Playground UI, gdzie funkcja forceHighlightElement() przypisuje textContent z powrotem do innerHTML, ponownie parsując odpowiedzi JSON jako HTML. Atakujący mogą wstrzyknąć złośliwe skrypty poprzez zawartość przeglądanej strony, taką jak tytuł strony.